OVHcloud a laissé une porte ouverte pendant deux heures. Personne n’a rien vu venir.

Le 19 octobre 2026, à 14h26, un pirate a injecté un code malveillant dans l’outil officiel de ligne de commande d’OVHcloud. Un seul fichier modifié, un seul compte GitHub compromis chez un développeur de l’entreprise, et hop : 1h34 de vol à grande échelle.

Personne n’a sonné l’alerte. Personne n’a remarqué que des milliers de clés API, mots de passe et jetons d’accès s’évaporaient en temps réel. Pourquoi ? Parce que personne ne vérifie vraiment ce qui se passe dans les ombres des outils qu’on utilise tous les jours.

OVHcloud a envoyé un mail à ses clients le 21 octobre. Trop tard. Les données étaient déjà parties. Et le pire ? Ce n’est pas un incident isolé.

Le compte GitHub, ce maillon faible que personne ne sécurise

GitHub, c’est le coffre-fort des développeurs. Sauf que les coffres-forts, parfois, ont des serrures pourries.

Le pirate a exploité une faille classique : l’accès en écriture à un dépôt public. Le développeur d’OVHcloud avait configuré son compte GitHub pour permettre à d’autres contributeurs de modifier directement ses fichiers. Une pratique courante, mais dangereuse.

Un rapport de GitGuardian (spécialiste de la détection de fuites) révèle que 42 % des entreprises ont déjà subi une fuite via un dépôt Git mal sécurisé. 42 %. Et pourtant, on continue à faire comme si de rien n’était.

Chez OVHcloud, le développeur en question avait accès à l’outil ovh-cli, utilisé par des milliers de clients pour automatiser des tâches sensibles. Son compte GitHub était une porte d’entrée idéale.

Le pirate a attendu le bon moment. Pas besoin de forcer la serrure : il suffisait de pousser un commit malveillant.

Pourquoi personne n’a rien vu pendant 1h34 ?

Parce que les outils de monitoring sont souvent désactivés par défaut.

OVHcloud utilise GitHub Actions pour automatiser ses déploiements. Sauf que les logs de ces actions ne sont pas systématiquement analysés en temps réel.

Un ingénieur de Snyk (une société de sécurité) explique : « La plupart des entreprises configurent leurs pipelines CI/CD pour minimiser les alertes. Résultat : une attaque comme celle-là passe entre les mailles du filet. »

1h34, c’est le temps qu’il a fallu pour que le code malveillant soit détecté.

• À 14h26 : le commit pirate est poussé.
• À 15h00 : un client d’OVHcloud signale un comportement bizarre dans son outil.
• À 15h20 : OVHcloud lance une investigation.
• À 15h34 : le code est retiré.

Pendant ce temps, des milliers de requêtes ont été interceptées.

Ce que ça signifie pour vos mots de passe et vos clés API

Si vous utilisez ovh-cli, vous avez été exposé.

OVHcloud recommande de changer tous vos secrets stockés localement : mots de passe, clés API, jetons OAuth, certificats SSH. Tout.

Mais le vrai problème, c’est que la plupart des gens ne savent même pas ce qu’ils ont stocké.

Un audit récent de Mozilla (sur les habitudes des développeurs) montre que 68 % des professionnels stockent des mots de passe en clair dans leurs fichiers de configuration.

• Dans .bashrc ? Oui.
• Dans des scripts Python ? Oui.
• Dans des fichiers .env mal protégés ? Bien sûr.

Et si OVHcloud avait été pire ?

Imaginez que le pirate ait eu accès à l’API interne d’OVHcloud pendant ces 1h34. Imaginez qu’il ait pu modifier des configurations, supprimer des données, ou pire : exfiltrer des informations sur des milliers de clients.

Heureusement, cette fois, ça s’est limité à du vol de secrets. Mais la prochaine fois ?

La leçon que personne ne veut entendre

1. Vos outils de ligne de commande sont des cibles. Si un pirate peut modifier un fichier dans un dépôt Git, il peut modifier n’importe quel outil que vous utilisez.

2. Les mots de passe en clair, c’est fini. Changer vos secrets, c’est bien. Mais si vous ne savez pas où ils sont, vous êtes déjà perdu.

3. GitHub n’est pas un coffre-fort. Désactivez l’écriture directe sur vos dépôts. Utilisez des revues de code. Activez les alertes en temps réel.

4. OVHcloud n’est pas le seul en cause. AWS, Google Cloud, Microsoft Azure… Tous ont des outils similaires. Tous ont des failles similaires.

La vraie question, c’est : quand est-ce que ça va se reproduire ?

Ce que vous devez faire MAINTENANT

• Désinstallez ovh-cli si vous l’utilisez. OVHcloud a publié une version corrigée, mais mieux vaut éviter le risque.

• Scannez vos machines à la recherche de mots de passe en clair. Utilisez des outils comme Gitleaks, TruffleHog ou GitSecret pour trouver ce qui traîne.

• Activez les alertes sur vos dépôts Git. GitHub Advanced Security, GitLab’s Code Owners, ou même des solutions comme Snyk peuvent vous sauver la mise.

• Ne stockez plus vos secrets en clair. Utilisez des vaults (HashiCorp Vault, AWS Secrets Manager) ou des fichiers chiffrés (avec gpg ou sops).

Parce que la prochaine fois, ce ne sera pas juste vos mots de passe qui partiront.

La prochaine faille sera pire. Et vous serez prêt ?